您的网络安全是重中之重，对您网络的攻击可能会使您的企业损失数千甚至数百万美元。 入侵检测系统就是这样一种系统，可用于监控您的网络并在检测到可疑活动时接收警报。 在本文中，我们将解释什么是入侵检测系统以及它是如何工作的。
入侵检测系统
入侵检测系统 (IDS) 是一种硬件设备或软件程序，用于观察网络或系统是否存在安全策略违规、异常或恶意活动。 它通过监视网络流量和检查网络数据包来做到这一点。 这些异常可能很简单，比如您的网络上出现了一个不寻常的 IP 地址或一次传输的大量数据。
不要与入侵防御系统 (IPS) 混淆，入侵检测系统仅检测攻击，而 IPS 旨在防止攻击继续进行。 这两个程序通常捆绑在一起，协同工作以检测和抵御攻击。
一个好的入侵检测系统会知道不同攻击的特征。 这些是使攻击可检测的东西。 例如，一个 圣诞树袭击 之所以这样命名，是因为网络数据包中的几个特殊标志像圣诞树一样亮起。 入侵检测系统将知道寻找这些亮起的标志来发现攻击。
当检测到攻击时，入侵检测系统将尽可能多地提醒用户有关攻击的详细信息，以帮助他们以最明智的方式做出响应。 根据系统的不同，这些警报可以通过电子邮件、弹出消息或文本发送。
入侵检测系统的类型
有两种主要类型的入侵检测系统：
- 网络入侵检测系统 (NIDS)：该系统分析并报告传入的网络流量。 Snort是安全专家推荐的网络入侵检测系统. 它是全球最强大的开源 NIDS，拥有 600,000 名注册用户和超过 500 万次安装。
- 基于主机的入侵检测系统 (HIDS)：该系统监视并记录服务器上操作系统关键文件的更改。 通常将它们放置在病毒、特洛伊木马和勒索软件可能感染的联网设备上。
此外，我们可以将 IDS 细分为更进一步的子类型：签名检测、异常检测和混合检测。
- 签名入侵检测系统 (SIDS) 使用特定模式来检测威胁。 该术语源自防病毒软件使用的描述，其中定义将检测到的模式称为签名。 尽管这些基于签名的 IDS 可以检测已知的攻击向量，但它们无法识别没有可用签名模式或特征的新攻击类型。
- 异常入侵检测系统 (AIDS) 实施更新的技术模型，旨在更好地适应和防御未知攻击。 AIDS 通常通过使用机器学习来确定常规或可疑活动。 一个实施良好的 AIDS 也可以检测到大多数 SIDS 攻击，因此它通常被认为是更好的选择。
- 混合入侵检测系统 使用基于签名和基于异常的诊断进行发现，使系统能够更好地检测潜在的攻击向量，与单独使用每个系统相比，总体错误率更低。
IDS 位于何处？
入侵检测系统放置在防火墙之后但在路由器之前。 这个位置可以最大限度地提高效率，因为防火墙可以处理对 IDS 的不同类型的威胁，并且两者都希望位于路由器前面，以便恶意数据不会到达用户。
在更大的环境中，系统和网络管理员战略性地将 IDS 放置在网络周围的各个点，以提高效率和安全性，包括需要更高安全级别的主要路口和部门的交叉点。
入侵检测系统与防火墙
IDS 将在内部查看网络以发现问题，而防火墙将通过检查进入网络的流量来从外部寻找威胁。 一个不能替代另一个，高度安全的网络将同时具有入侵检测系统和防火墙。
IDS的优势
实施 IDS 有多种优势：
- 的能力 分析不同类型的网络攻击 例如未经授权的访问、恶意软件、分布式拒绝服务 (DDoS) 攻击和权限提升。
- 从长远来看，及时检测可以限制被盗或受影响的客户数据，并为您节省资金。
- 它有助于实现合规性。 系统日志将表明您正在采取措施确保您的网络安全，并且正在满足或超出安全规定。
IDS 的缺点
虽然有多种优点，但 IDS 也有一些缺点：
- 误报可能会导致需要调查的事件数量增加，但您的技术支持团队的持续审查将有助于识别误报并在未来消除它们。
- 当攻击未被发现并进入网络时，就会发生误报，这往往发生在系统配置错误或规则集尚未更新或应用时。
- 黑客可以攻击 IDS 本身，这可以防止威胁被报告并允许其他威胁潜入网络。 由于 IDS 并不能阻止攻击的发生，因此用户必须采取措施主动减少其站点对此类攻击的脆弱性，以确保其站点安全。
- 您的入侵检测系统也可能成为 DDoS 攻击的目标，这会使 IDS 的流量过载，从而限制其正常运行的能力。 DDoS 站点和服务器保护将有助于保持事情顺利进行。
- 入侵检测系统的成本从免费（开源）到数十万美元（大型网络）不等，还需要额外的人员配备、培训、安装和维护成本。
入侵检测系统的替代方案
统一威胁管理 (UTM) 是一种新的信息安全策略，用于应对组织面临的威胁。 UTM 是单个软件/硬件，可以为您的网络处理各种安全功能，而不是有多个不同的端点来处理各个安全领域。
根据 UTM 的特定功能，它可以替代您的 IDS、IPS、防火墙、防病毒软件、Web 代理、VPN、数据丢失防护和电子邮件过滤。 但是，由于所有内容都集中在一个地方，UTM 会在您的网络中引入单点故障。
立即获取入侵检测系统！
让我们帮助您找到适合您服务器的最佳安全选项。 我们的威胁堆栈监督入侵检测系统提供威胁监控、入侵检测、24/7/354 快速响应和合规性最佳实践。 对于需要端到端安全的人，我们的 Alert Logic 安全与合规套件提供企业级安全监控、事件管理、补救指导、24/7/365 支持等。
有其他安全问题或疑虑？ Liquid Web 为防火墙、DDoS 攻击预防和 Web 应用程序保护提供了各种附加组件。 我们的销售团队随时准备为您提供帮助！
